Eine Malware-Infektion auf dem Computer eines Auftragnehmers könnte dazu geführt haben, dass etwa 8,7 Millionen Datensätze von Kunden und Mitarbeitern offengelegt wurden. Dies wirft Fragen dazu auf, wie Unternehmen personenbezogene Daten schützen, die von Dritten verarbeitet werden.
Das japanische Unterhaltungsunternehmen Daiichi Kosho teilte am 8. Oktober mit, dass etwa 8,72 Millionen Datensätze betroffen sein könnten, nachdem eine Malware einen Computer eines Mitarbeiters der Nippon Columbia Group (NCG) infiziert hatte. NCG ist ein Auftragnehmer, der einige personenbezogene Daten des Unternehmens verarbeitet. Das Unternehmen hat nicht bestätigt, dass Informationen gestohlen, nach außen gelangt oder missbraucht wurden.
Der Vorfall betrifft Informationen im Zusammenhang mit den Karaoke- und Gastronomiegeschäften von Daiichi Kosho, darunter BIG ECHO. Zugleich macht er ein größeres Problem für Organisationen deutlich, die auf externe Auftragnehmer angewiesen sind: Wie viele sensible Kundeninformationen können gefährdet werden, wenn ein einziges Gerät eines Drittanbieters kompromittiert wird?
So entwickelte sich der Malware-Vorfall bei Nippon Columbia
Laut der offiziellen Mitteilung von Daiichi Koshoentdeckte die Nippon Columbia Group zwischen dem 1. und 2. Oktober Malware auf dem Computer eines Mitarbeiters. Auf dem betroffenen Computer waren vorübergehend personenbezogene Daten gespeichert, die der Auftragnehmer im Rahmen seiner Dienstleistungen für Daiichi Kosho verarbeitete.
Die Nippon Columbia Group isolierte den Computer am 2. Oktober vom Netzwerk. Nach der Untersuchung der möglichen Auswirkungen informierte der Auftragnehmer Daiichi Kosho am 5. Oktober. Daiichi Kosho machte den Vorfall am 8. Oktober öffentlich.
Daiichi Kosho identifizierte etwa 8.631.000 Kundendatensätze im Zusammenhang mit Mitgliedsregistrierungen und Reservierungen in seinen Betrieben sowie 93.000 Mitarbeiterdatensätze. Damit beläuft sich die Gesamtzahl auf etwa 8.724.000 potenziell betroffene Datensätze.
Bei der Kundenzahl wurden etwa 515.000 überschneidende Datensätze aus den verschiedenen Geschäftsbereichen des Unternehmens herausgerechnet. Bei diesen Zahlen handelt es sich um ungefähre Angaben zu Datensätzen, die von dem Vorfall betroffen sein könnten, nicht um bestätigte Zahlen zu einzelnen Personen. Die Ermittler konnten außerdem noch nicht feststellen, ob auf personenbezogene Daten zugegriffen wurde oder ob sie gestohlen wurden.
Zu den potenziell betroffenen Kundeninformationen gehören:
- Namen, einschließlich der registrierten Namen
- Geschlecht und Geburtsdaten
- E-Mail-Adressen und Telefonnummern
Die Datensätze beziehen sich auf mehrere Geschäftsbereiche von Daiichi Kosho, darunter BIG ECHO, MEGA BIG, Karaoke CLUB DAM, Banana Club, B-GARAGE und DK Dining.
Daiichi Kosho erklärte, dass Passwörter nicht in den potenziell betroffenen Informationen enthalten waren. Das Unternehmen meldete außerdem keine Hinweise auf eine unbefugte Nutzung von Treuepunkten.
Wichtig ist, dass die Ermittler bislang kein externes Datenleck oder einen Missbrauch im Zusammenhang mit dem Vorfall bestätigt haben. Daiichi Kosho erklärte, keine Auswirkungen auf die eigenen Systeme festgestellt zu haben, diese jedoch vorsichtshalber weiter zu überprüfen.
Laut der Berichterstattung von BleepingComputersetzte die Nippon Columbia Group im Rahmen ihrer Reaktion Passwörter und andere Authentifizierungsdaten zurück.
Die Malware-Familie, die ursprüngliche Infektionsmethode und die Frage, ob ein Angreifer auf die Informationen zugegriffen oder sie exfiltriert hat, sind öffentlich noch nicht bekannt.
Was der Vorfall für Kunden und Sicherheitsteams bedeutet
Auch ohne bestätigten Datendiebstahl ist der Vorfall aufgrund der Menge der potenziell betroffenen personenbezogenen Informationen erheblich.
Namen, Geburtsdaten, E-Mail-Adressen und Telefonnummern können Kriminellen dabei helfen, überzeugende Phishing-Nachrichten zu erstellen oder sich als legitime Unternehmen auszugeben. Solche Informationen könnten besonders für gezielte Betrugsversuche nützlich sein, die sich auf zuvor von Kunden genutzte Dienste beziehen.
Kunden der betroffenen Karaoke- und Gastronomiemarken sollten bei unerwarteten E-Mails, Textnachrichten oder Anrufen vorsichtig sein, die angeblich von Daiichi Kosho oder dessen Unternehmen stammen.
Sie sollten verdächtige Links meiden, Anfragen über die offiziellen Kanäle des Unternehmens überprüfen und bei Nachrichten vorsichtig sein, in denen zusätzliche personenbezogene Daten oder Zahlungsinformationen verlangt werden.
Für Sicherheitsteams unterstreicht der Vorfall, wie wichtig es ist, Kundeninformationen auch dann zu schützen, wenn sie an externe Dienstleister weitergegeben wurden.
Ein Auftragnehmer kann zwar berechtigt sein, Millionen von Datensätzen zu verarbeiten, doch dieser Zugriff bringt auch Sicherheitsverantwortung mit sich – und zwar für alle Geräte, auf denen die Informationen gespeichert und verarbeitet werden.
Weitere von eSecurity Planet behandelte Vorfälle zeigen die Folgen der Offenlegung von Kundendaten und von Sicherheitsdefiziten bei Drittanbietern.
So betraf der Vorfall der Kontoübernahme bei ASOS 138.828 Kunden, während das Datenleck bei IDScan und die anschließenden Klagen Fragen zum Umgang mit sensiblen personenbezogenen Daten aufwarfen.
Ein separates Sicherheitsproblem bei einer Drittanbieter-App von BigCommerce zeigte, wie kompromittierte Zugangsdaten eines externen Dienstleisters Kundeninformationen gefährden können, ohne dass es zu einem direkten Einbruch in die primäre Plattform kommt.
Obwohl sich diese Vorfälle hinsichtlich ihrer Ursachen und der bestätigten Folgen unterscheiden, unterstreichen sie allesamt, wie wichtig es ist, den Zugriff, die Speicherung und den Schutz sensibler Informationen durch Dritte genau zu prüfen.
Sicherheitsteams, die mit externen Datenverarbeitern arbeiten, sollten mehrere Bereiche überprüfen:
- Datenspeicherung: Prüfen Sie, ob Auftragnehmer große Mengen personenbezogener Daten – selbst vorübergehend – auf Mitarbeitercomputern speichern müssen.
- Schutz von Endgeräten: Stellen Sie sicher, dass Geräte von Auftragnehmern, auf denen sensible Informationen verarbeitet werden, über geeignete Funktionen zur Malware-Erkennung, Überwachung und Reaktion verfügen.
- Zugriffskontrollen: Beschränken Sie den Zugriff Dritter auf die Informationen, die für bestimmte Geschäftsfunktionen erforderlich sind.
- Reaktion auf Vorfälle: Legen Sie klare Meldepflichten fest, damit Auftragnehmer vermutete Kompromittierungen unverzüglich melden.
Organisationen sollten außerdem prüfen, ob sensible Informationen über stärker kontrollierte Systeme verarbeitet werden können, anstatt sie lokal auf einzelnen Arbeitsstationen zu speichern.
Daiichi Kosho hat eine eigene Kundenhotline eingerichtet und erklärt, den Vorfall weiter zu untersuchen. In seiner öffentlichen Mitteilung hatte das Unternehmen nicht bestätigt, dass die potenziell betroffenen Informationen gestohlen oder missbraucht wurden.
Für Sicherheitsverantwortliche geht die zentrale Erkenntnis über diese konkrete Malware-Infektion hinaus. Die Sicherheit bei Drittanbietern hängt nicht nur davon ab, wer auf Kundeninformationen zugreifen kann, sondern auch davon, wo diese Informationen gespeichert werden, wie lange sie aufbewahrt werden und wie schnell eine Organisation reagieren kann, wenn das Gerät eines Auftragnehmers kompromittiert wird.
Weitere Nachrichten zur Cybersicherheit: Ein weiteres Beispiel für Risiken bei Drittanbietern liefert der Bericht darüber, wie ein Datenleck bei einem ManoMano-Anbieter personenbezogene Daten von fast 38 Millionen Kunden offenlegte.